ZESZYTY NAUKOi/E POLITECHNIKI ŚLĄSKIEJ 1978
Serias AUTOMATYKA z. 45 kol. 531
Andrzej Mencel, Marek Kokrosz. Jacek Wojciechowski
ZESTAW SPRZĘTONO-PSOGRAMOWY DLA PROCESÓW PRZEMYSŁOWYCH WYMAGAJĄCYCH PODWYŻSZONYCH PARAMETRÓW NLEZAY/ODNOSCI SA PRZYKŁADZIE SYSTEMU KONTROLI RUCHU ZAŁOGI KOPALNI
Streszczenie! W referacie przedstawiono koncepcję konfiguracji systemu kontroli ruchu załogi kopalni. Koncepcja została opracowana na podstawie analizy cech obiektu i uwzględniania wymagań podwyż
szonych parametrów niezawodnościowych kompleksu sprzętowo-progra
mowego.
1* Water-
Etap projektowania współczesnych systemów informatycznych wymaga wnikliwej analizy procesufze szczególnym uwzględnieniem wagi zadań, jakie system przejmuje na siebie po okresie rozruchu. Mają one decy
dujący wpływ na wymagania niezawodnościowe, jakim system musi odpo
wiadać, a zatem i na jego strukturę.
Systemy informatyczne związane z bezpieczeństwem pracy ludzi muszą cechować podwyższone parametry niezawodnościowe. Dotyczy to szczególnie systemów instalowanych w kopalniach węgla kamiennego.
Jednakże różnorodność wymagań w stosunku do systemu wynikająca ze specyfiki obiektów nie pozwala uogólniać wyników prac związanych z podwyższeniem niezawodności konktretnego systemu. Dlatego w dalszym ciągu referat poświęcony będzie oprogramowaniu i konfiguracji sprzętu informatycznego, spełniającego wymagania podwyższonej niezawodności dla wybranego typowego dyskretnego procesu, jakim jest kontrola ruchu załogi kopalni.
2. Analiza cech obiektu oraz określenie wymagań dla systemu kontroli ruchu załogi kopalni.
Rodzaj oraz charakter sterowanego obiektu pozwala określić klasę i niezbędne elementy systemu sterowania. Dla omawianego systemu proces podlegający sterowaniu stanowią zjawiska związane z kontrolą ruchu załogi kopalni.
Podstawowym zadaniem systemu jest:
a • ewidencja czasu pracy całej załogi kopalni tdołowej i powierzchnio
wej) prowadzona wg rejestracji czasów wejść, zjazdów, wyjazdów z dołu i wyjść z kopalni w odniesieniu do całej załogi;
b. sporządzanie raportów (natychmiastowe na żądanie, zmianowe, dzien
ne, miesięczne, roczne, wydruki dla celów statystycznych i ewi
dencyjnych) w oparciu o stale uaktualnianą, bogatą bazę danych;
Cechy charakterystyczne obiektu to:
a. okresowe angażowanie systemu dla celów akwizycji danych, b. jednorodny charaktor informacji wejściowej w zakresie obsługi
stref kontroli,
c. możliwość powtórnego wprowadzenia jednostkowej informacji wejścio
wej (potwierdzenie przyjęcia),
d. duże odległości między źródłem informacji a ośrodkiem Jej przet
warzania,
e. duża ilość informacji związana z pracownikiem, konieczna do zapa
miętania w systemie.
Zestaw sprzętowo-programowy 89
Pierwsza z cech wynika ze zmianowego charakteru pracy w kopalni.
Dla wielozmianowego systemu pracy można wyróżnić w ciągu doby okresy, w których system będzie -silnie obciążony obsługą stref kontroli pracowników. Przebieg obciążenia powtarza się cyklicznie z cyklem dobowym.
Jednorodny charakter informacji wejściowej upraszcza w dużym stopniu procedurę akwizycji danych. Cechy obiektu oraz funkcje systemu stanowią podstawę dla określenia wymagań, jakie system kontroli ruchu załogi powinien spełniaó. Do wymagań tych należy zaliczyć:
a. ciągłą zdolność i sprawną obsługę pracowników w strefach kontroli, b. dwukierunkową wymianę informacji ze strefami kontroli (potwierdze
nie przyjęcia, dodatkowe informacje i polecenia dla rejestrujące
go się' pracownika) przy stosunkowo dużych'odległościach stref od ośrodka przetwarzania (ok. 5 km),
c. dostęp w każdej chwili do stale uaktualnianej dużej bazy danych na zasadzie raportowania (szczególnie w stanach zagrożeń BHP w kopalniach),
d. pełne zabezpieczenie bazy danych,
e. łatwość obsługi i konserwacji, czytelna forma raportów dostarcza
nych zainteresowanym komórkom administracji i zarządzania kopalni, i,' praktycznie niezawodna praca,
g. w przypadku wystąpienia uszkodzenia Bystem powinna cechować łagodna degradacja [1] (ograniczenie funkcji na czas awarii lub łagodne wstrzymanie wszystkich funkcji dla uszkodzeń katastroficz
nych) .
Na podstawie zadań i wymogów jakie powinien spełniać system SER Z można zaszeregować go do systemów o działaniu bezpośrednim. Jest to
system naprawialny, o długim czasie eksploatacji i o możliwości profilaktycznych przeglądów.
2. Opś1n° metody podwyższania niezawodności systemów -
Stosowane współcześnie metody podwyższania niezawodności systemów komputerowych dotyczą w głównej mierze samego sprzętu komputerowego,
Z dwóch technik podwyższania niezawodności praktyka wykazała, że technika tolerowania uszkodzeń lepiej zdała egzamin zarówno pod względem ekonomicznym,jak i technicznych możliwości.
Podstawowymi metodami w zakresie tej techniki są metody nadmiarowe.
Warunkiem skutecznego stosowania nadmiarowości w systemie kompute
rowym jest zaehowanio właściwych proporcji każdej z trzech możliwych jej form:
- układowa (SNU, DHU) - programowa (NP.) - czasowa (HCZ).
W zakresie układowej nadmiarowości złożonej rozróżnia się:
a." statyczną nadmjarowość układową (SNU ) b. dynamiczną nadmiarowość układową (DNO).
' Cechą charakterystyczną SUIT jest działanie "maskujące”, ponieważ elementy nadmiarowe maskują fakt uszkodzenia elementu.
Metoda ta jest kosztowna ze względu na to, że-każdy ważniejszy ele
ment systemu jeet przynajmniej dublowany.
DHTJ charakteryzują dwa etapy postępowania. W pierwszym wstępuje wykrycie uszkodzenia, w drugim lokalizacja i Jego usunięcie oraz odnowa systemu. W przeciwieństwie do SNU, DNU jeet stosowana selektywnie. Podstawową zaletą metody DNU jest możliwość jej stoso
wania zarówno na poziomie elementarnych modułów,jak również na poziomie struktury systemu przy założeniu, że system posiada struk
turę modularną. Metoda ta jest szczególnie wygodna przy projektowa
niu systemu w oparciu o konkretny sprzęt komputerowy.
Nadmiarowość programowa. (NP) obejmuje wszystkie dodatkowe programy, segmenty programowe, rozkazy i operacje mikroprogramowe, które są zbędne w systemie pracującym bez błędów operacyjnych. NP służy głów
nie do detekcji błędów lub procesu odnowy i najczęściej stosuje się Ją w połączeniu z DNU.
90 A . Mencel i I r n i j ,
Ho ¿na wyróżnić kilka postaci BP:
a,7 wielokrotne pamiętanie newralgicznych programów i danych, h. testy i programy diagnostyczne a także zabezpieczenie mikro-
- programowe, .
o* segmenty programowe w systemie operacyjnym, pozwalające na tolerowanie uszkodzeń w programach użytkowych.
Nowoczesny system * komput erowy tolerujący uszkodzenia musi uwzględ
niać wszystkie wymienione formy IIP.
Nadmiarowość czasowa (UCZ) polega na powtórzeniu lub weryfikacji operacji komputerowych na różnych poziomach: mikrooperacji, pojedyn
czych rozkazów, segmantów programowych lub całych programów.
Używa się jej zazwyczaj w połączeniu z DNU lub ND. Podstawowe cele HCZ można określić następująco:
a, detekcja błędu przy pomocy powtórnego wykonania operacji lub weryfikacji rezultatu,
b. odnowa przez uruchomienie programu restartu lub ponowienie wyko
nania operacji po wykryciu błędu.
W systemach o działaniu bezpośrednim są ograniczone możliwości stosowania tej metody, wynikające z konieczności akwizycji danych na bieżpco. Powtórzenie dłuższej sekwencji programu może hyć równoznaczne z utratą informacji wejściowej.
Z praktyki Btosowania systemów informatycznych do sterowania pro
dukcją wynika, że najhardziej zawodnym ogniwem sprzętu informatycz
nego są urządzenia peryferyjne.
Aplikacja techniki tolerowania uszkodzeń do tych urządzeń powinna odbywać się w kilku etapach:
a. dobór odpowiednich urządzeń peryferyjnych,
b. określenie możliwej do wprowadzenia funkcjonalnej nadniarowości w taki sposób,by funkcje uszkodzonego bloku mógł przejąć blok rezerwowy lub sam komputer,
c., opis algorytmiczny procedury ujawniania błędu i odnowy pod kontrolą komputera,.
d . zaprojektowanie niezawodnego łącza pomiędzy urządzeniem zewnętrz
nym a kanałem we/wy komputera.
Ze względu na dużą zawodność urządzeń peryferyjnych prace nad ich ulepszaniem mają bardziej istotne znaczenie dla sprawności całego systemu niż zwiększanie, niezawodności samego komputera.
Dla omawianego systemu kontroli ruchu załogi odnosi się to szcze
gólnie do sprzętu specjalistycznego związanego z realizacją podsta
wowych zadań rejestracji czasu pracy.
4. Struktura środków aparaturowych systemu
Wymagania stawiane systemowi kontroli ruchu załogi kopalni muszą znaleźć swoje odbicie w doborze odpowiedniej struktury środków aparaturowych. Przegląd możliwych do zastosowania konfiguracji sprzętowych rozpoczynamy od systemu jednonaszynowego.
Klasyczny układ, składający się z procesora, pamięci operacyjnej, pamięci zbiorôv i systemu wejścia-wyjścia, jest rozwiązaniem naj
mniej przydatnym, ponieważ nie zapewnia:
- efektywnej protekcji danych wejściowych,
- zachowania mlnimun zdolności obliczeniowej, związanej z obsługą wejść i wyjść oraz bazy danych w sytuacjach krytycznych obiektu.
Dla zapewnienia ciągłej rejestracji danych napływających do systemu s końcówek (czytników dowodów kontrolnych ) rozsianych na rozległym obszarze kopalni, system jedncmaszynowy należy wyposażyć w co naj
mniej dwa wysunięte stałoprogremowe lub zmiennoprograaowe rejestra
tory (jednostki sterujące końcówek), zanisujące napływające infor
macje w pomocniczej pamięci masowej.
Końcówki są połączone z jednostkami sterującymi "w przeplocie", co oznacza, że jećna część końcówek znajdujących się w danej strefie kontroli połączona jest z jednostką nr 1, a druga część - s jednost
ką nr 2.
Zestaw sprzętowo-programowy . 91
W przypadku awarii systemu komputerowego zachowana zostaje ciągłość rejestracji danych wejściowych, a dane zgromadzone w pamięciach po
mocniczych mogą posłużyć do aktualizacji lub odtworzenia uszkodzonej tazy danych w pamięci zbiorów. Opisana konfiguracja została przedsta
wiona na rys. 1. Podobna koncepcja ochrony sieci danych wejściowych została sprawdzona w systemie rezerwacji miejsc brytyjskich linii lotniczych BEA (system BEA.CON [2l ).
PAO - p a m ię ć o p e ra c y jn o
Rys. 1. System jednomaszynowy z nadmiarowymi wysuniętymi członami rejestrującymi
Po zabezpieczeniu w sposób opisany powyżej danych wejściowych należy wprowadzić do systemu dalszą nadmiarowość, pozwalającą uzyskać nie
zbędny minimalny poziom zdolności obliczeniowej dla obsługi bazy danych i raportowania w przypadku wystąpienia uszkodzeń urządzeń wchodzących w skład systemu komputerowego.
Jednym z najwcześniejszych rozwiązań tego typu Jest system dwumaszy- nowy z częściowo wspólną pamięcią (rys.2}.
Hys. 2. System dwumaszynowy z częściowo wspólną pamięcią
92 A , liencel i iru„
W systemie można, wyróżnić procesor komunikacyjny oraz procesor rezerwowy» przy czym Jeden z nich wykonuje zadania związane
z koordynacją. Informacje o stanie procesorów są nawzajem przekazy
wane przez ezybkie łącze procesor-procesor, ale każdy z komputerów pracuje pod kontrolą własnego systemu operacyjnego. Obydwa proce
sory posiadają dostęp do prmięci zbiorów, w której przechowywana Jest podstawową baza dnnych systemu kontroli ruchu załogi.
Przedstawione rozwiązanie posiada szereg wad, z których najważniej
sze tc:
- możliwość zniszczenia lub zablokowania basy danych w niektórych, krytycznych momentach przełączania dostępu [3j ,
- słabe wykorzystanie zasobów sprzętowych systemu.
- trudności uzyskania dostępu do tablic (buforów) umieszczonych w pamięci operacyjnej komputera, który uległ av;arii.
Ponieważ zapewnienie integralności basy danych posiada decydują
ce znaczenie w systemach kontroli ruchu załogi autorzy proponują do realizacji inną konfigurację dwumaszynową, w której nie wystę
puje przełączanie pamięci zbiorów (rys. 3).
e. 3. System awumaszynov;y z rezerwową bazą darach
Procesor 2 pełni rolę procesora komunikacyjnego, obsługującego jednostki sterujące końcówek. ¡Procesor 2 przesyła przez szyb
kie łącze procesor-procesor uporządkowane informacje otrzymane z-końcówek do procesora 1, obsługującego główną pamięć zbiorów 1, w której są przechowywane i aktualizowane na bieżąco dane o pra
cownikach, Procesor 2 obsługuje rezerwową bazę danych, znajdującą się w pamięci zbiorów 2, w której przechowywane są tylko niektóre dane, mające kluczowe znaczenie dla systemu. Procesor 2 posiada rezerwę mocy obliczeniowej, pozwalającą na emisję najważniejszych z punktu wrażenia bezpieczeństwa pracy raportów w urzypaćku awarii komputera grównegc (np. sygnalizacja przebywania na dole kopalni powyżej ojcreśxonego limitu czasowego ).
Zestaw sprzętowo-programowy ... 93
V tym celu z procesorem 2 współpracuje monitor ekranowy i drukarka mozaikowa. V momencie wystąpienia awarii procesora komunikacyjnego procesor 1 przejmuje obsługę transakcji wejściowych, a jednostki sterujące J.S.1 i J.S.2 rejestrują dane z końcówek w pamięciach pomocniczych.
Dalsze zwiększenie współczynnika gotowości systemu, a takie osią
gnięcie lepszego wykorzystania zasobów aparaturowych (zwłaszcza urządzeń wejścia-wyjścia i pamięci operacyjnej ) można uzyskać w syste
mach wieloprocesorowych, w których - zgodnie z.definicją podaną w 4 - wszystkie procesory posiadające dostęp do wspólnej pamięci opera
cyjno j i pracują pod kontrolą zintegrowanego systemu operacyjnego.' Można rozróżnić trzy podstawowe typy wieloprocesorów [4] : a) systemy ze wspólną szyną pracującą z rozdziałem czasowym, bi systemy z matrycowym przełącznikiem,
c) systemy z wielowejściowymi pamięciami.
Stosunkowo prosty pod względem struktury sprzętowej system wielo
procesorowy dla potrzeb kontroli ruchu załogi można zrealizować wg modelu o . V przypadku systemu składającego się z dwu procesorów i dwu kontrolerów wejścia-wyjścia wymagane są pamięci o czterech wejściach, a więc o niewielkim jeszcze stopniu złożoności.
Można sądzić, że taka struktura sprzętowa może okazać się korzystniej
sza pod niekwórymi względami od przedstawionej na rys. 3.
Przykładem systemu wieloprocesorowego zrealizowanego według podanej zasady jest tJHIYAC 1108, firmy Sperry Rand Corporation.
5. Wymagania w stosunku do oprogramowania zestawu.
Struktura systemu oprogramowania przedstawionego zestawu Jest pochodną jego konfiguracji sprzętowej, realizowanych funkcji oraz wymagań specyfiki ruchowej systemu kontroli ruchu załogi.
Główną cechą struktury jest istnienie dwóch systemów operacyjnych o nieidentycznej budowie i funkcjach. Pierwszy z nich zlokalizowany w komputerze komunikacyjnym jest systemem operacyjnym specjalistycz
nym, o ograniczonych funkcjach, ukierunkowanym na obsługę specjalis
tycznych terminali systemu i umożliwiający dwustopniowe zapamiętanie treści transakcji. Realizacja funkcji rejestracji i informowania na bieżąco o stanie załogi na kopalni zmusza do przyjęcia struktury właściwej dla prac wykonywanych w czasie rzeczywistym w trybie bezpośrednim. Duża ilość transakcji do obsłużenia w określonych momentach czasowych narzuca ograniczony czas reakcji systemu, który stawia wysokie wymagania programowym modułom obsługi transakcji, które stanowią część składową obu systemów operacyjnych.
Drugi system operacyjny nadzorujący pracę komputera uniwersalnego Jest rozbudowany w kierunku zarządzania obszerną bazą danych.
Potrzeba ta wynika z prowadzenia przez system kontroli ruchu załogi ewidencji danych o pracowniku kopalni.
Konieczność wyposażenia obu systemów operacyjnych w mechanizmy umoż
liwiające szybką i bezbłędną odnowę bazy danych i stanu systemu po usunięciu awarii.wynika z ważności informacji o "historii" procesu rejestracji zjazdów i wyjazdów, znajomość której warunkuje możliwość określenia aktualnego obrazu stanu pracowników pod ziemią.
W oelu organizacji współpracy międzykemputerowej systemy operacyjne wyposaża się w mechanizmy rozruchu i synchronizacji pracy zestawu, wymiany informacji użytkowej, wymiany informacji o stanie urządzeń, przełączania na pracę jednokomputerową w wypadku wykrycia usterek w drugim komputerze lub na zlecenie operatora, ponownego włączenia sprawnego komputera do zestawu, aktualizacja jego bazy danych oraz synchronizacja pracy bez naruszania ciągłości procesu rejestracji.
Sygnały współpracy umożliwiają wymuszenie przez jeden system opera
cyjny przerwania pracy programów drugiego komputera, pozwalająo w ten sposób na synchronizację realizacji programów obu komputerów.
94 i, Mencel 1 inni
Sygnały te są analizowane prące no duł nadzorujący wymianę informa
cji, inicjowany przes moduł obsługi przerwać.
Przed rozpoczęciem przesyłu informacji użytkowej następuje sprawdze
nie stanu kanału współpracy. V tym celu przesyła się pewną liczbę stałych wzorcowych, które następnie są zwrotnie pobierane dla porównania z wartościami wyjściowymi. W przypadku niezgodności cykl się powtarza w celu stwierdzenia, charakteru błędu. Błąd powtarza- . jacy się powoduje sygnalizacje faktu uszkodzenia kanału wymiany oraz inicjację procedury przełączania procesu rejestracji na zestaw jednokomputerowy. Wykrycie stanu niesprawności kanału lub drugiego komputera następuje również w przypadku, gdy brak jest odpowiedzi na przepytanie w ciągu ustalonego odcinka czasu.
Drugim ważnym problemem oprogramowania zestawu jest koncepcja zbiorów danych systemu.
ze względu na jej pojemność, dynamiczny charakter i wrażliwość na awarie. Ha bazę danych składa się szereg różnorodnych kartotek związanych z danymi podstawowymi o pracowniku, o miejscu i czasie jego praoy. Logiczna organizacja kartotek musi prżode wszystkim zapewnić możliwość:
- odtwarzania bazy,
- ochrony przed niepożądanym dostępem,
- łatwego testowania poprawności aktualizowanych danych.
Baza danych jako integralna część zestawu o podwyższonej niezawodnoś
ci wymaga specjalnych środków programowych i" śprzętowyęn dla zabez
pieczenia i odtworzenia jej zawartości na wypadek całkowitego lub częśoiowego zniszczenia. Muszą one uwzględniać konieczność zapewnie
nia basie danych aktualności, kompletności i niesprzeczności oraz osasu odtwarzania narzuconego przez proces kontroli.
Położenie fizycznych nośników pamięci w strukturze prezentowanego zestawu oraz sposób ioh aktualizacji wymaga cyklicznego porównywa
nia obu zbiorów dla uniknięcia konfliktów logicznych wynikających z ich sprzeczności.
ponieważ niezawodność pracy zestawu jest w znacznej mierze uzależ
niona od odporności oprogramowania na usterki sprzętu jak i samego oprogramowania, przy opracowywaniu jego struktury uwzględnia się technikę nadmiaru programowego i czasowego. Jednakże wielokrotne pamiętanie krytycznych programów i danych, rozbudowane testowanie i' diagnostyka prawidłowości pracy programów jak i środki tolerancji UBterek w egzekutorze powodują oprócz strat pamięci również narzuty czasowe na pracę systemu. Dlatego też zakres stosowanych środków zabezpieczenia programowego będzie kompromisem pomiędzy możliwościami sprzętowymi a wymaganiami obsługiwanego procesu.
6. Podsumowanie 1 wnioski
1. Dla realizacji systemu kontroli ruchu załogi kopalni proponuje się system dwupassynowy z przełączanymi wejściami i rezerwową bazą danych. Zaproponowany układ spełnia wymogi stawiane syste
mowi kontroli ruchu załogi w zakresie protekcji podstawowej bazy danych i ochrony danych wejściowych.
2»'Beallzacja sprzętowa jest możliwa na bazie urządzeń krajowych
“ (MERA-400, SMC-3 i
3. Hależy w dalszej perspektywie rozważyć bardziej szczegółowo możliwość realizacji systemu wieloprocesorowego (układ z wielo- wejściowymi pamięciami , co będzie się wiązało s dodatkowymi nakładami na adaptację dostępnego handlowo sprzętu (dotyczy głównie pamięci).
Zestaw sprzętowo-programowy . 95
LITERATURA
[1] Avi3enis^A.: Architecturs'of fault-tolerant computing systems Mat. konferencji PTC 1975.
[2] Donald W, Davies, Derek L.A. Barber: Commmication networks for computers, tłum rosyjskie, MIR, Moskwa 1976.
[3] Yourdon E . : Projektowanie systemów o działaniu bezpośrednim. WNT
</arszawa_1976. ’ *
[4] Philip H. Enslow: Multiprocessors and parallel proceasine, tłum.
rosyjskie, MIR, Moskwa 1976. w m .
HABOP OBOPyjlOBAHM.H IEPOrPAM JP H HPOH3BOUCTBEHBŁK IIPOIIECCOB, TPEBHTOX nOBUtnEHHlJX nOKA3ATEjQM HAÆËÏÏH0CTS1 HA IIP M EP E CHCTEMI KOHTPOJH JBMEHMH PABOHEm COCTABA niAXTU
P e 3 & m B
B paóOTe flana KonuenREH KOH$Hrypaipit cHCTewa kohtpojis padonero c o c - TaBa maxTH. Komiennm óujia pa3padoTam Ha ocHOBe ananasa cboKctb odteitTa npn HMemnaxcH noBHnŚHHHi rpedOBaHEHX k noicasaTejim KOMOieKca odopynoBa- heh h nporpaMM.
A HIGH-RELIABILITÏ HARDWARE-SOPTWARS STSTSM POR THE MANPOWER CONTROL IN COAL MINES
S u m m a r y
On the basis of a requirement analysis with regard to reliabili
ty of the hardware and software, a configuration for the manpower control system in coal mines is presented.
